企业平均使用130个SaaS服务(Productiv 2026)。一个被泄露的密码即可访问CRM、邮件、计费系统。49%的数据泄露始于凭据泄露(Verizon DBIR 2026)。
推荐平台：1password.com、accessowl.io、bitwarden.com、cloudflare.com、haveibeenpwned.com、jumpcloud.com、okta.com、yubico.com、zluri.com
第一级：基础安全
1. 密码管理器 — 强制使用
没有密码管理器，SaaS安全无从谈起。选择: Bitwarden(免费、开源、自托管)或1Password(最佳UX、SSH代理)。
2. 全面启用MFA
MFA降低99.9%的账户接管风险。优先级: 硬件密钥(YubiKey) > TOTP应用 > 短信。
关键服务: 邮件、域名注册商、云/托管、支付系统、代码仓库。
3. 零密码重复
管理器应标记重复项。立即消除。
第二级：企业安全
4. SSO替代独立密码
减少攻击面。选择: Okta、Azure AD、JumpCloud、Google Workspace。
5. 访问审计
月度审查。工具: AccessOwl、Zluri、BetterCloud。
6. RBAC: 最小权限原则
角色而非个人。
7. 入职/离职流程
离职须在2小时内完成。
第三级：高级防护
8. 泄露监控
HIBP Domain、Watchtower、Breachsense。
9. 密码策略
最少16字符，5次失败锁定。
10. 会话控制
超时: 财务15分钟，CRM 1小时。
11. API密钥
存储在保险库，每90天轮换。
12. 管理面板VPN
Cloudflare Zero Trust(50用户免费)。
15项检查清单
- 密码管理器已安装
- 唯一密码(零重复)
- 关键服务启用MFA
- 管理员使用硬件密钥
- SSO已配置
- 离职2小时内完成
- 月度访问审计
- 泄露监控已激活
- API密钥存于保险库
- API每季度轮换
- 会话超时已设置
- 管理面板在VPN后
- RBAC已实施
- 密码策略符合NIST
- 审计日志已启用
实施这15点可将安全风险降低一个数量级。